gainbacktest

Wie andere sich wehren müssen

Ich tue mein Bestes, um meinen Rechner und meine Daten zu schützen. Aber was passiert, wenn andere Akteure im Netz angegriffen werden?

Im Zweifelsfall hilft die beste digitale Selbstverteidigung nichts. Wenn ein öffentlicher Akteur angegriffen wird, sind auch Einzelne betroffen: Stürzt der Server einer Bank ab, sind deren Dienste auch für sämtliche Kunden lahmgelegt. Besonders ein Angriff auf kritische Infrastruktur ist gefährlich. Im Zweifelsfall sind die Folgen dann nicht mehr auf digitale Welt beschränkt, sondern wirken sich auch auf das normale Leben aus – etwa wenn die Strom- oder Wasserversorgung nach einem Kraftwerks-Hack gestört wird.

Wissen die Verantwortlichen denn um die Gefahren?

Davon kann man ausgehen. Egal ob Strom- oder Wasserversorgung, Transport-, Gesundheits-, Finanzsysteme oder Telekommunikation: Unsere Welt basiert heute auf den selben elektronischen Steuermodulen. Sie stellen die Verbindung des Cyberspace zur realen Welt dar. Die zunehmende Vernetzung hat uns verwundbarer gemacht.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik weist seit Jahren darauf hin, dass kritische Infrastrukturen noch immer unzureichend geschützt sind. SCADA-Systeme können von digitalen Angreifern ohne großen Aufwand ausfindig gemacht werden. Sie sind meist unzureichend gesichert, ihre Daten werden teilweise nicht einmal verschlüsselt. Für Hacker sind SCADA-Systeme leichte Beute. Bestes Beispiel dafür: 2011 dringt der Hacker pr0f in die Steuerung des Wasserwerks von South Houston ein. Das dreistellige Passwort knackt pr0f in kürzester Zeit. Mit der Aktion will er gegen die laxen Sicherheitsvorkehrungen protestieren.

Und was tun sie, um sich darauf vorzubereiten?

Seitdem Estland im Jahr 2007 wochenlang unter dem Beschuss von Hackern stand, halten Europa und die USA Übungen ab, die die Nationen auf den digitalen Ernstfall vorbereiten sollen. Die USA testen mit dem Trainingsprogramm Cyber Storm in den Jahren 2008 und 2010 ihre Widerstandsfähigkeit bei einem Angriff auf kritische Infrastruktur. Das Department of Homeland Security simuliert Störfälle im Kommunikations-, Transport- und Energienetz. Die Übungen offenbaren, dass die digitalen Verteidigungswälle der USA einem Angriff kaum standhalten könnten.

Cyber Europe 2010 simuliert europaweit den schrittweisen Ausfall der Internetverbindungen in europäischen Ländern, die wesentliche Onlinedienste beeinträchtigt und die Kommunikation zwischen Staaten erschwert. Organisiert wird das Training von der Europäischen Agentur für Netz und Informationssicherheit (ENISA). Zwei Jahre später folgt Cyber Europe 2012, bei dem der Angriff eines Botnets auf Regierungsserver, den privaten Sektor und Einzelpersonen simuliert wird. Mehrere Hundert Sicherheitsexperten müssen mit über 1.000 Störfällen umgehen, die Politik- und Medienbetrieb ebenso lahmlegen wie Zahlungssysteme von Banken und die Telekommunikation innerhalb der Staaten. Ziel der Übungen ist es, Schwachstellen im System und beim Krisenmanagement aufzudecken, um daraus für die Zukunft zu lernen.

Auf europäischer Ebene gibt es seit 2004 außerdem die Europäische Verteidigungsagentur (EVA). Sie verantwortet Rüstungsplanung, -beschaffung und -forschung, auch im Bereich der Cybersicherheit. Zu diesem Zweck fördert die EVA Forschung im Bereich Cybersicherheit und will ein Frühwarnsystem etablieren, dass Angriffspunkte aufdeckt um Sicherheitslücken schnellstmöglich zu schließen.

Allerdings reichen diese Übungen mitunter nicht aus. Viele Unternehmen sind leider noch immer ungenügend auf Angriffe aus dem Internet vorbereitet. Jüngste Vorfälle belegen, dass manche Betreiber von Industrieanlagen die Gefahren aus dem Internet noch immer unterschätzen. Einigen Anlagebetreibern ist bekannt, dass die gängigen Steuerungssysteme wie SCADA noch immer Sicherheitslücken haben und ignorieren diese Gefahr. Dieser Umstand machte es den USA und Israel möglich, ihren Computerwurm Stuxnet in die iranische Atomanlage Natanz einzuschleusen. Leider ist nicht auszuschließen, dass auch der Westen im Visier von Hackern ist. Das Experiment des Sicherheitsforschers Kyle Wilhoit beweist das: Er simulierte ein virtuelles System eines Wasserkraftwerks und verzeichnete innerhalb eines Monats 39 Attacken auf die Steuerung.

,,,,,,

Ich tue mein Bestes, um meinen Rechner und meine Daten zu schützen. Aber was passiert, wenn andere Akteure im Netz angegriffen werden?

Im Zweifelsfall hilft die beste digitale Selbstverteidigung nichts. Wenn ein öffentlicher Akteur angegriffen wird, sind auch Einzelne betroffen: Stürzt der Server einer Bank ab, sind deren Dienste auch für sämtliche Kunden lahmgelegt. Besonders ein Angriff auf kritische Infrastruktur ist gefährlich. Im Zweifelsfall sind die Folgen dann nicht mehr auf digitale Welt beschränkt, sondern wirken sich auch auf das normale Leben aus – etwa wenn die Strom- oder Wasserversorgung nach einem Kraftwerks-Hack gestört wird.

Wissen die Verantwortlichen denn um die Gefahren?

Davon kann man ausgehen. Egal ob Strom- oder Wasserversorgung, Transport-, Gesundheits-, Finanzsysteme oder Telekommunikation: Unsere Welt basiert heute auf den selben elektronischen Steuermodulen. Sie stellen die Verbindung des Cyberspace zur realen Welt dar. Die zunehmende Vernetzung hat uns verwundbarer gemacht.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik weist seit Jahren darauf hin, dass kritische Infrastrukturen noch immer unzureichend geschützt sind. SCADA-Systeme können von digitalen Angreifern ohne großen Aufwand ausfindig gemacht werden. Sie sind meist unzureichend gesichert, ihre Daten werden teilweise nicht einmal verschlüsselt. Für Hacker sind SCADA-Systeme leichte Beute. Bestes Beispiel dafür: 2011 dringt der Hacker pr0f in die Steuerung des Wasserwerks von South Houston ein. Das dreistellige Passwort knackt pr0f in kürzester Zeit. Mit der Aktion will er gegen die laxen Sicherheitsvorkehrungen protestieren.

Und was tun sie, um sich darauf vorzubereiten?

Seitdem Estland im Jahr 2007 wochenlang unter dem Beschuss von Hackern stand, halten Europa und die USA Übungen ab, die die Nationen auf den digitalen Ernstfall vorbereiten sollen. Die USA testen mit dem Trainingsprogramm Cyber Storm in den Jahren 2008 und 2010 ihre Widerstandsfähigkeit bei einem Angriff auf kritische Infrastruktur. Das Department of Homeland Security simuliert Störfälle im Kommunikations-, Transport- und Energienetz. Die Übungen offenbaren, dass die digitalen Verteidigungswälle der USA einem Angriff kaum standhalten könnten.

Cyber Europe 2010 simuliert europaweit den schrittweisen Ausfall der Internetverbindungen in europäischen Ländern, die wesentliche Onlinedienste beeinträchtigt und die Kommunikation zwischen Staaten erschwert. Organisiert wird das Training von der Europäischen Agentur für Netz und Informationssicherheit (ENISA). Zwei Jahre später folgt Cyber Europe 2012, bei dem der Angriff eines Botnets auf Regierungsserver, den privaten Sektor und Einzelpersonen simuliert wird. Mehrere Hundert Sicherheitsexperten müssen mit über 1.000 Störfällen umgehen, die Politik- und Medienbetrieb ebenso lahmlegen wie Zahlungssysteme von Banken und die Telekommunikation innerhalb der Staaten. Ziel der Übungen ist es, Schwachstellen im System und beim Krisenmanagement aufzudecken, um daraus für die Zukunft zu lernen.

Auf europäischer Ebene gibt es seit 2004 außerdem die Europäische Verteidigungsagentur (EVA). Sie verantwortet Rüstungsplanung, -beschaffung und -forschung, auch im Bereich der Cybersicherheit. Zu diesem Zweck fördert die EVA Forschung im Bereich Cybersicherheit und will ein Frühwarnsystem etablieren, dass Angriffspunkte aufdeckt um Sicherheitslücken schnellstmöglich zu schließen.

Allerdings reichen diese Übungen mitunter nicht aus. Viele Unternehmen sind leider noch immer ungenügend auf Angriffe aus dem Internet vorbereitet. Jüngste Vorfälle belegen, dass manche Betreiber von Industrieanlagen die Gefahren aus dem Internet noch immer unterschätzen. Einigen Anlagebetreibern ist bekannt, dass die gängigen Steuerungssysteme wie SCADA noch immer Sicherheitslücken haben und ignorieren diese Gefahr. Dieser Umstand machte es den USA und Israel möglich, ihren Computerwurm Stuxnet in die iranische Atomanlage Natanz einzuschleusen. Leider ist nicht auszuschließen, dass auch der Westen im Visier von Hackern ist. Das Experiment des Sicherheitsforschers Kyle Wilhoit beweist das: Er simulierte ein virtuelles System eines Wasserkraftwerks und verzeichnete innerhalb eines Monats 39 Attacken auf die Steuerung.